必要に応じて、Cloud APIC で VNet ピアリングを有効にします。

VPN ゲートウェイ サブネットの 2 番目のサブネットを追加します。

1. Cisco Cloud Network Controller GUI で、インテント アイコン（）をクリックし、[Cloud APIC セットアップ（Cloud APIC Setup）] を選択します。

2. [リージョン管理（Region Management）] エリアで、[設定の編集（Edit Configuration）] をクリックします。

3. [管理するリージョン（Regions to Manage）] ウィンドウで、[次へ（Next）] をクリックします。

   [一般接続（General Connectivity）] ウィンドウが表示されます。

4. [全般（General）] 領域の [クラウド ルータのサブネット プール（Subnet Pools for Cloud Routers）] フィールドで、[クラウド ルータのサブネット プールの追加（Add Subnet Pool for Cloud Routers）] をクリックします。

5. VPN ゲートウェイ ルータの 2 番目のサブネットの情報を入力します。

   たとえば、VPN Gateway（仮想ネットワーク ゲートウェイ）を使用した接続の構成 の構成例を使用して、このフィールドの VPN ゲートウェイ ルーターの 2 番目のサブネットに 10.80.1.0/24 を追加します。

6. [次へ（Next）] をクリックし、次のページに必要な情報を入力して、[保存して続行（Save and Continue）] をクリックします。

   Cloud APIC セットアップ プロセスが完了すると、Cisco Cloud Network Controller によって VPN ゲートウェイ ルータのサブネットが作成されます。VPN ゲートウェイ ルータのサブネットの構成が Azure に正常にプッシュされたことを確認するには、Azure portal の [サブネット（Subnets）] ページに移動し、GatewaySubnet エントリを見つけます。

インフラでホストされる VRF を作成し、その VRF をサイト外部 EPG に使用します。

1. Cisco Cloud Network Controller GUI で、[アプリケーション管理（Application Management）] > [VRF]に移動します。

2. [アクション（Actions）] > [VRF の作成（Create VRF）] をクリックします。

   [VRF の作成（Create VRF）] ウィンドウが表示されます。

3. このインフラでホストされる VRF の名前を入力し、[テナントの選択（Select Tenant）] をクリックし、テナントの [インフラ（infra）] を選択して [選択（Select）] をクリックします。

4. 必要に応じて説明を入力し、[保存（Save）] をクリックします。

非 ACI リモート サイトのネットワークを示すハブ VNet で外部 EPG を作成します。

Azure portal を介して、ステップ 2 で構成した VPN ゲートウェイ サブネットのインフラ VNet に仮想ネットワーク ゲートウェイを作成します。

1. Azure portal で、仮想ネットワーク ゲートウェイを作成する Resource Manager virtual network に移動して、仮想ネットワーク ゲートウェイを作成します。

2. 左側で、[リソースの作成（Create a resource）] を選択し、検索に仮想ネットワーク ゲートウェイと入力します。

3. 検索結果で [仮想ネットワーク ゲートウェイ（Virtual network gateway）] を見つけて、エントリをクリックします。

4. [仮想ネットワーク ゲートウェイ（Virtual network gateway）] ページで、[作成（Create）] を選択します。

5. [仮想ネットワーク ゲートウェイの作成（Create virtual network gateway）] ページで、次のフィールドに適切な情報を入力します。

   • サブスクリプション：適切なサブスクリプションが選択されていることを確認します。

   • リソース グループ：仮想ネットワークを選択すると、リソース グループが自動的に選択されます。

   • 名前：仮想ネットワーク ゲートウェイの名前。

   • リージョン：仮想ネットワークが配置されている場所を指すように [リージョン（Region）] フィールドを変更します。場所が仮想ネットワークのあるリージョンを指していない場合、仮想ネットワークは [仮想ネットワークの選択（Choose a virtual network）] ドロップダウンに表示されません。

   • ゲートウェイ タイプ：[VPN] を選択します。

   • VPN タイプ：[Route-based] を選択します。

   • SKU：[VpnGw1] を選択します。

   • 世代：[Generation1] を選択します。

   • 仮想ネットワーク：[overlay-1] を選択します。

   • パブリック IP アドレス：[新規作成（Create new）] を選択します。

   • パブリック IP アドレス名：パブリック IP アドレスの名前を指定します。

   • アクティブ-アクティブ モードを有効にする：[無効（Disabled）] に設定します。

   • BGP の構成：[有効（Enabled）] に設定します。

   • 自律システム番号（ASN）: VPN ゲートウェイの適切な BGP ASN 値を入力します。デフォルトでは、Azure は 65515 の ASN 値を使用します。

6. [確認 + 作成（Review + Create）] を選択し、[作成（Create）] でゲートウェイの作成を開始します。

   設定が確認され、ゲートウェイが展開します。仮想ネットワーク ゲートウェイの作成は、完了するまでに最長 45 分かかることがあります。

   仮想ネットワーク ゲートウェイが正常に展開されたことを確認するには、[仮想ネットワーク ゲートウェイ（virtual network gateway）] ページに移動して、作成したばかりの仮想ネットワーク ゲートウェイを選択し、[設定: 構成（Settings: Configuration）] をクリックして、仮想ネットワーク ゲートウェイの構成設定を表示および確認します。

ローカル ネットワーク ゲートウェイを作成します。

1. Azure portal で、ローカル ネットワーク ゲートウェイを作成する Resource Manager ローカル ネットワークに移動して、ローカル ネットワーク ゲートウェイを作成します。

2. 左側で [リソースの作成（Create a resource）] を選択し、検索に「ローカル ネットワーク ゲートウェイ（Local Network Gateway）」と入力します。

3. 検索結果で [ローカル ネットワーク ゲートウェイ（Local network gateway）] を見つけて、エントリをクリックします。

4. [ローカル ネットワーク ゲートウェイ（Local network gateway）] ページで、[作成（Create）] を選択します。

5. [ローカル ネットワーク ゲートウェイの作成（Create local network gateway）] ページで、次のフィールドに適切な情報を入力します。

   • 名前： ローカル ネットワーク ゲートウェイの名前。

   • エンドポイント：[IP アドレス（IP address）] を選択します。

   • IP アドレス：ローカル ネットワーク ゲートウェイの適切な IP アドレスを入力します。

   • アドレス スペース : アドレス スペースに適切な値を入力します。たとえば、VPN Gateway（仮想ネットワーク ゲートウェイ）を使用した接続の構成 の構成例を使用して、このフィールドに 192.168.0.0/16 を追加します。

   • BGP 設定の構成：この設定を有効にするには、チェックボックスをクリックします。

   • 自律システム番号（ASN）： ローカル ネットワーク ゲートウェイの適切な BGP ASN 値を入力します。これは、リモート デバイスの ASN 値です。たとえば、VPN Gateway（仮想ネットワーク ゲートウェイ）を使用した接続の構成 の構成例を使用して、このフィールドに 65150 を追加します。

   • BGP ピア IP アドレス：このフィールドには、オンプレミス デバイスに使用する BGP ピア IP アドレスを入力します（Azure 仮想ネットワーク ゲートウェイではありません）。たとえば、VPN Gateway（仮想ネットワーク ゲートウェイ）を使用した接続の構成 の構成例を使用して、このフィールドに 196.254.0.8 を追加します。

   • サブスクリプション：ステップ 5の仮想ネットワーク ゲートウェイに使用したものと同じサブスクリプションを選択します。

   • リソース グループ：ステップ 5 の仮想ネットワーク ゲートウェイに使用したのと同じリソース グループを選択します。

   • 場所：ステップ 5 の仮想ネットワーク ゲートウェイに使用したのと同じ場所（リージョン）を選択します。

6. [確認 + 作成（Review + Create）] を選択し、[作成（Create）] でゲートウェイの作成を開始します。

   設定が確認され、ゲートウェイが展開します。

   ローカル ネットワーク ゲートウェイが正常に展開されたことを確認するには、[ローカル ネットワーク ゲートウェイ（local network gateway）] ページに移動して、作成したばかりのローカル ネットワーク ゲートウェイを選択し、[設定: 構成（Settings: Configuration）] をクリックして、ローカル ネットワーク ゲートウェイの構成設定を表示および確認します。

Azure 仮想ネットワーク ゲートウェイからローカル ネットワーク ゲートウェイ（オンプレミスの IPsec デバイス）への VPN 接続を作成します。

1. Azure portal で、仮想ネットワーク ゲートウェイのページに移動し、ステップ 5 で作成した Azure 仮想ネットワーク ゲートウェイを見つけます。

2. 作成した仮想ネットワーク ゲートウェイを選択し、[設定: 接続（Settings: Connections）] をクリックします。

3. [追加] をクリックします。

   [接続の追加（Add connection）] ウィンドウが開きます。

4. この VPN 接続を Azure 仮想ネットワーク ゲートウェイからローカル ネットワーク ゲートウェイ（オンプレミスの IPsec デバイス）に追加するために必要な情報を入力します。

   • [接続タイプ（Connection type）] フィールドで、[サイト間（IPsec）（Site-to-site (IPsec)）] を選択します。

   • [仮想ネットワーク ゲートウェイ（Virtual network gateway）] フィールドで、ステップ 5 で作成した Azure 仮想ネットワーク ゲートウェイを選択します。

   • [ローカル ネットワーク ゲートウェイ（Local network gateway）] フィールドで、ステップ 6 で作成したローカル ネットワーク ゲートウェイを選択します。

   • [BGP を有効にする（Enable BGP）] フィールドでチェックボックスをクリックして、この接続の BGP を有効にします。

   • [IKE プロトコル（IKE Protocol）] フィールドで、[IKEv2] を選択します。

5. この VPN 接続の構成情報の入力が完了したら、[OK] をクリックします。

Azure から VPN 構成テンプレートをダウンロードします。

1. Azure portal で、仮想ネットワーク ゲートウェイのページに移動し、作成した Azure 仮想ネットワーク ゲートウェイを見つけます。ステップ 5

2. 作成した仮想ネットワーク ゲートウェイを選択し、[設定: 接続] をクリックします。

3. 構成した VPN 接続の名前を選択します。

   VPN 接続の概要ページが表示されます。

4. [ダウンロード構成（Download configuration）] をクリックします。

   [ダウンロード構成（Download configuration）] ページが表示されます。

5. [ダウンロード構成（Download configuration）] ページで次の選択を行います。

   • [デバイス ベンダー（Device vendor）] フィールドで、[Cisco] を選択します。

   • [デバイス ファミリ（Device family）] フィールドで、[IOS（ISR、ASR）] を選択します。

   • [ファームウェア バージョン（Firmware version）] フィールドで、[15.x (IKEv2)] を選択します。

6. [ダウンロード構成（Download configuration）] をクリックします。

ダウンロードした構成テンプレート ファイルをテキスト エディタで開き、構成テンプレートの指示に従って必要な編集を行います。

編集した構成テンプレートを保存して閉じます。

編集した構成テンプレートをオンプレミスの IPsec デバイスに適用します。

access-list 101 permit ip 192.168.0.0 0.0.255.255 10.80.0.0 0.0.0.127
access-list 101 permit ip 192.168.0.0 0.0.255.255 10.80.0.128 0.0.0.127
access-list 101 permit ip 192.168.0.0 0.0.255.255 10.80.1.0 0.0.0.127
access-list 101 permit esp host 52.152.235.192 host 173.39.125.130
access-list 101 permit udp host 52.152.235.192 eq isakmp host 173.39.125.130
access-list 101 permit udp host 52.152.235.192 eq non500-isakmp host 173.39.125.130
!
crypto ikev2 proposal Azure-Ikev2-Proposal
  encryption aes-cbc-256
  integrity sha1
  group 2
  exit
!
crypto ikev2 policy Azure-Ikev2-Policy
  proposal Azure-Ikev2-Proposal
  match address local 173.39.125.130
  exit
! 
crypto ikev2 keyring singaporeisr-keyring
  peer 52.152.235.192
    address 52.152.235.192
    pre-shared-key 0123456789cisco
    exit
  exit

crypto ikev2 profile Azure-Ikev2-Profile
  match address local 173.39.125.130
  match identity remote address 52.152.235.192 255.255.255.255
  authentication remote pre-share
  authentication local pre-share
  lifetime 28800       
  dpd 10 5 on-demand
  keyring local singaporeisr-keyring
  exit
!
crypto ipsec transform-set Azure-TransformSet esp-aes 256 esp-sha256-hmac
  mode tunnel
  exit
!
crypto ipsec profile Azure-IPsecProfile
  set transform-set Azure-TransformSet
  set ikev2-profile Azure-Ikev2-Profile
  set security-association lifetime seconds 3600
  ! Note: PFS (perfect-forward-secrecy) is an optional feature (commented out)
  !set pfs None
  exit
!
int tunnel 11
  ip address 169.254.0.1 255.255.255.255
  tunnel mode ipsec ipv4
  ip tcp adjust-mss 1350
  tunnel source 173.39.125.130
  tunnel destination 52.152.235.192
  tunnel protection ipsec profile Azure-IPsecProfile
  exit

interface Loopback 11
  ip address 196.254.0.8 255.255.255.255
  exit
!
router bgp 65150
  bgp log-neighbor-changes
  neighbor 10.80.1.30 remote-as 65515
  neighbor 10.80.1.30 ebgp-multihop 255
  neighbor 10.80.1.30 update-source loopback 11

  address-family ipv4
    network 192.168.0.0 mask 255.255.0.0 
    neighbor 10.80.1.30 activate    
    exit
  exit
!
ip route 10.80.0.0 255.255.255.128 Tunnel 11
ip route 10.80.0.128 255.255.255.128 Tunnel 11
ip route 10.80.1.0 255.255.255.128 Tunnel 11
ip route 10.80.1.30 255.255.255.255 Tunnel 11

VPN 接続を確認します。

1. Azure portal で、仮想ネットワーク ゲートウェイのページに移動し、作成した Azure 仮想ネットワーク ゲートウェイを見つけます。ステップ 5

2. 作成した仮想ネットワーク ゲートウェイを選択し、[設定: 接続] をクリックします。

3. 作成した VPN 接続が [ステータス（Status）] 列に [接続済み（Connected）] と表示されていることを確認します。

リダイレクトを使用して仮想ネットワーク ゲートウェイを展開するかどうかを決定します。

クラウド EPG と、仮想ネットワーク ゲートウェイによって接続された外部 EPG との間の契約を構成します。